Re: Awaria Pl@nety - Grupy dyskusyjne w eGospodarka.pl

eGospodarka.pl › Finanse › Grupy › pl.biznes.banki › Awaria Pl@nety › Re: Awaria Pl@nety

Path: news-archive.icm.edu.pl!pingwin.icm.edu.pl!mat.uni.torun.pl!news.man.torun.pl!n
ews.icm.edu.pl!lublin.pl!news.onet.pl!newsfeed.gazeta.pl!newsfeed.tpinternet.pl
!news.tpi.pl!not-for-mail
From: "blad" <b...@W...pl>
Newsgroups: pl.biznes.banki
Subject: Re: Awaria Pl@nety
Date: Fri, 13 Dec 2002 14:05:31 +0100
Organization: tp.internet - http://www.tpi.pl/
Lines: 49
Message-ID: <atcluq$m4v$1@news.tpi.pl>
References: <at9mgn$pej$1@news.tpi.pl> <atcako$1re$1@news.onet.pl>
NNTP-Posting-Host: bravo171.softbank.pl
Mime-Version: 1.0
Content-Type: text/plain; charset="iso-8859-2"
Content-Transfer-Encoding: 8bit
X-Trace: news.tpi.pl 1039784730 22687 212.244.73.171 (13 Dec 2002 13:05:30 GMT)
X-Complaints-To: u...@t...pl
NNTP-Posting-Date: Fri, 13 Dec 2002 13:05:30 +0000 (UTC)
X-Priority: 3
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1106
X-Newsreader: Microsoft Outlook Express 6.00.2800.1106
X-MSMail-Priority: Normal
Xref: news-archive.icm.edu.pl pl.biznes.banki:217655
[ ukryj nagłówki ]
Użytkownik "Vizvary II Istvan"
> Oczywiście cały cza pozostanie kwetia otwarta, czy MSIE jest godny
zaufania,
> a przynajmniej do tego stopnia, by zdecydować o tym kto jest godny
zaufania
> a kto nie.

pare dni temu MS oglosil szereg patchy VM Java - warto zrobić WindowsUpdate
*** blad ***

Microsoft (Java) Virtual Machine - VM - zawiera szereg bledow
umozliwiajacych nastepujace ataki, ktore pozwalaja na penetracje systemu:

COM Object Access Vulnerability: CVE-CAN-2002-1257
aplet Javy, ktory nie jest zaufany (untrasted) moze miec dostep do
obiektow COM. Jest to niezgodne z zalozeniem modelu bezpieczenstwa. Co
wiecej dostep do obiektow COM moze umozliwic penetracje systemu.

CODEBASE Spoofing Vulnerabilities: CVE-CAN-2002-1258
mozliwosc oszukania maszyny wirtualnej Javy co do lokalizacji kodu Javy.
Pozwala to na dostep do dowolnego katalogu na dysku z poziomu kodu w Javie.
Domyslnie z poziomu kodu w Javie dostep do plikow powinnie byc ograniczony
do katalogu w ktorym znajduje sie kod, na skutek bledu tak jednak nie jest.
Pozwala to na penetracje systemu.

Domain Spoofing Vulnerability: CVE-CAN-2002-1259
mozliwosc zaladaowania poprzez adres URL apletu Javy z innego sajtu niz
spodziewa sie maszyna wirtualna Javy. Pozwala to na ladowanie niezaufanych
apletow i prezentacje ich jako pochodzacych z zaufanego zrodla.

JDBC API Vulnerability: CVE-CAN-2002-1260
maszyna wirtualna Javy nie zabrania apletom Javy wykorzystywac API JDBC,
co pozwala atakujacemu na modyfikacje zawartosci baz danych poprzez JDBC. W
takim przypadku jedyna ochrona bazy danych sa prawa dostepu zaimplementowane
na jej poziomie.

Standard Security Manager Access Vulnerability: CVE-CAN-2002-1261
mozliwosc czasowego wylaczenie ladowania / uruchamiania sie niektorych
obiektow Javy. Pozwala to na przeprowadzenie ataku typu DoS poprzez dodanie
legalnych obiektow Javy do listy blokowanych obiektowych prowadzonej przez
Standard Security Manager (element VM)

User.dir Exposure Vulnerability: CVE-CAN-2002-1262
mozliwosc poznania przez atakujacego nazwy uzytkownia w lokalym systemie

Incomplete Java object Instantiation Vulnerability: CVE-CAN-2002-1263
mozliwosc zawieszenia Internet Explorera poprzez odpowiedni aplet Javy.